Die Erfindung betrifft eine Sicherheitssteuereinheit, die ausgebildet ist, den Zustand wenigstens einer Komponente der Sicherheitssteuereinheit auf seine Funktionsfähigkeit zu überprüfen und ein diese Funktionsfähigkeit kennzeichnendes Sicherheitssignal zu erzeugen, aufweisend eine Ausgangs schnittstelle, die mindestens einen digitalen Ausgangskanal aufweist, wobei der mindestens eine Ausgangskanal zwei zum Schalten eines von der Sicherheitssteuereinheit externen elektrischen Geräts ausgebildete elektrische Anschlüsse auf weist, und wobei der mindestens eine Ausgangskanal in Abhän gigkeit des Sicherheitssignals entweder einen potentialfreien geschlossenen Schaltzustand oder einen potentialfreien offe nen Schaltzustand aufweist.

Aus der DE 10 2015 001 094 Al ist eine Servomotorsteuervor- richtung bekannt, die einen Inverter zum Antreiben eines Ser vomotors durch Wandlung eines Gleichstroms in einen Wechsel strom und Einspeisen des gewandelten Wechselstroms in den Servomotor aufweist, einen Stromquellenabschaltkreis zum Un terbrechen der Einspeisung von Gleichstrom in den Inverter aufweist, eine Servomotorsteuerschaltung zum Steuern des In verters derart, dass der Wechselstrom in den Servomotor ein gespeist wird wenn ein Sicherheitssignal empfangen wird, und zum Steuern des Inverters derart, dass der Wechselstrom nicht in den Servomotor eingespeist wird, wenn kein Sicherheitssig nal empfangen wird aufweist, und eine Servomotorüberwachungs schaltung aufweist zum Stoppen des Servomotors durch Unter brechung der Übertragung des Sicherheitssignals zur Servomo torsteuerschaltung wenn bestimmt wird, den Servomotor zu stoppen, und zum Stoppen des Servomotors durch Unterbrechung der Einspeisung von Gleichstrom in den Inverter mittels des Stromquellenabschaltkreises und Stoppen der Übertragung des Sicherheitssignals zur Servomotorsteuerschaltung wenn festge stellt wird, dass der Stromquellenabschaltkreis und/oder die Servomotorsteuerschaltung nicht normal funktionieren.

Aufgabe der Erfindung ist es, eine Sicherheitssteuereinheit zu schaffen, insbesondere eine Sicherheitssteuereinheit als einen Teil einer Roboter-Steuerung zu schaffen, d.h. insbe sondere eine Robotersicherheitssteuereinheit zu schaffen, in welcher der Schalt zustand wenigstens eines Halbleiterschalt- kontaktes der Sicherheitssteuereinheit in seiner Funktion überwacht werden kann.

Diese Aufgabe wird erfindungsgemäß gelöst durch eine Sicher heitssteuereinheit , die ausgebildet ist, den Zustand wenigs tens einer Komponente der Sicherheitssteuereinheit auf seine Funktionsfähigkeit zu überprüfen und ein diese Funktionsfä higkeit kennzeichnendes Sicherheitssignal zu erzeugen, auf weisend eine Ausgangsschnittstelle, die mindestens einen di gitalen Ausgangskanal aufweist, wobei der mindestens eine Ausgangskanal zwei zum Schalten eines von der Sicherheits steuereinheit externen elektrischen Geräts ausgebildete elektrische Anschlüsse aufweist, und wobei der mindestens ei ne Ausgangskanal in Abhängigkeit des Sicherheitssignals ent weder einen potentialfreien geschlossenen Schalt zustand oder einen potentialfreien offenen Schalt zustand aufweist, wobei die Ausgangsschnittstelle

- einen den Schalt zustand des mindestens einen Ausgangskanals mitbestimmenden Halbleiterschaltkontakt aufweist, der durch das Sicherheitssignal der Sicherheitssteuereinheit angesteu ert ist und der einerseits an eine erste Leitung des mindes tens einen Ausgangskanals angeschlossen ist, die zu einem ersten Anschluss des mindestens einen Ausgangskanals führt, und andererseits an eine zweite Leitung des mindestens einen Ausgangskanals angeschlossen ist, die zu einem zweiten An schluss des mindestens einen Ausgangskanals führt, - eine Spannungsquelle aufweist, die an die erste Leitung des mindestens einen Ausgangskanals angeschlossen ist, und

- einen Koppler aufweist, der an die zweite Leitung des min destens einen Ausgangskanals angeschlossen ist und der ausge bildet ist, die von der Spannungsquelle an der ersten Leitung des mindestens einen Ausgangskanals angelegte Spannung von der zweiten Leitung des mindestens einen Ausgangskanals abzu greifen, wenn der Halbleiterschaltkontakt in seinem Schließ zustand ist und der ausgebildet ist, in Abhängigkeit der an der zweiten Leitung des mindestens einen Ausgangskanals abge griffenen Spannung, ein den Schaltzustand des Halbleiter schaltkontaktes kennzeichnendes Diagnosesignal zu erzeugen.

Ganz allgemein kann eine Roboter-Steuerung insbesondere dadurch gekennzeichnet sein, dass sie ausgebildet ist, die Motoren, welche die Gelenke eines Roboterarms automatisch ge mäß einem Roboterprogramm oder in einem Handfahrbetrieb durch manuelle Eingaben oder durch Handführen verstellen,

elektrisch anzusteuern. Darüber hinaus kann eine Roboter- Steuerung redundante Sicherheitskomponenten aufweisen. Die Sicherheitskomponenten können auch diversitär ausgebildet sein, d.h. die redundanten Sicherheitskomponenten können zu mindest doppelt vorhandene Bauteile oder Baugruppen aufweisen die in unterschiedlicher Bauart ausgebildet sind und/oder auf unterschiedliche Weise programmiert sind. Insoweit kann eine Roboter-Steuerung typischerweise mindestens zwei getrennte Steuerungskanäle aufweisen. Eine Roboter-Steuerung kann bei spielsweise eine Überwachungseinrichtung für die elektrische Energieversorgung der Roboter-Steuerung aufweisen. Zur Bil dung von sicheren Eingängen und/oder sicheren Ausgängen, kön nen die Eingänge und/oder die Ausgänge auch mindestens zwei- kanalig ausgeführt sein und sie können auf ihre Funktion hin überwacht sein. Typischerweise umfasst eine Roboter-Steuerung auch eine Einrichtung zum Einleiten eines sicheren Zustands des Roboters. Ein sicherer Zustand kann beispielsweise ein Anhalten einer Bewegung des Roboterarms sein. Ein solches An halten kann dadurch erfolgen, dass die Motoren durch die Ro boter-Steuerung gestoppt werden, den Motoren und/der den Ge lenken des Roboterarms zugeordneten Bremsen geschlossen wer den und/oder ein Nothalt durchgeführt wird. Das Einleiten ei nes sicheren Zustands des Roboters kann durch ein oder mehre re Sicherheitssignale ausgelöst werden, die von der Roboter- Steuerung, insbesondere von der Sicherheitssteuereinheit er zeugt werden. Die Sicherheitssteuereinheit kann eine Steue rungskomponente der Roboter-Sicherheitssteuerung sein, welche die Funktionsfähigkeit einer oder mehrerer Steuerungskompo nenten der Roboter-Steuerung überwacht und in einem Fehler fall ein den nicht mehr sicheren Zustand der Roboter- Steuerung kennzeichnendes Signal erzeugt.

Die Sicherheitssteuereinheit kann also ein Teil der Roboter- Steuerung sein oder eine zur Robotersteuerung separate Steu ereinheit sein. In beiden Fällen können die wenigstens zwei Ausgänge Teil einer Ausgangsschnittstelle sein. Die wenigs tens zwei Ausgänge können dabei jeweils einen in sicherer Technik ausgebildeten Schalter bilden. Mit einem solchen Schalter können externe Geräte, welche beispielsweise die Ro boter-Steuerung ergänzende Funktionalitäten aufweisen, ange steuert werden.

So kann ein über die Ausgangsschnittstelle der Roboter- Sicherheitssteuerung, insbesondere über die wenigstens zwei Ausgänge der Ausgangsschnittstelle der Roboter- Sicherheitssteuerung, angesteuertes Gerät beispielsweise eine andere bzw. weitere Sicherheitssteuerung sein, die wenigstens einen sicheren Aktor und/oder Sensor aufweist, und/oder bei spielsweise ein von dem Roboterarm getragenes Werkzeug, wie beispielsweise eine Schweißzange, ein Laserwerkzeug, eine Klebepistole oder ähnliches sein. Die wenigstens zwei Ausgän ge können einen redundanten, sicheren Schalter bilden, der eine elektrische Funktion des jeweilig an die Ausgangs schnittstelle der Roboter-Steuerung angeschlossenen Geräts wahlweise einschalten und/oder ausschalten kann. Da die we nigstens zwei Ausgänge lediglich einen Schalter bilden sol len, sollten die Ausgänge insbesondere potentialfrei sein bzw. potentialfrei schalten können, um die elektrische Funk tion des externen, an die Ausgangsschnittstelle angeschlosse nen Gerätes nicht zu stören. Das externe elektrische Gerät ist also ein von der Roboter-Steuerung separat arbeitendes Gerät, das lediglich von den Ausgängen der Roboter-Steuerung schaltend angesteuert wird, seine jeweilige Hauptfunktion je doch eigenständig ausführt.

Ein Ausgang der Ausgangsschnittstelle kann demgemäß zwei von einander getrennte elektrische Leitungspfade aufweisen, die insoweit als Ausgangskanäle bezeichnet werden können bzw. die zwei getrennte Ausgangskanäle bilden. Jeder einzelne Aus gangskanal kann einen von zwei Schaltern des Ausgangs bilden. Jeder Ausgangskanal kann dabei zur Erfüllung eines Schalters in sicherer Technik, mindestens zwei elektrische oder elekt ronische Schaltkontakte aufweisen, die in Reihe geschaltet sind. Durch eine Reihenschaltung ist im Falle von funktions tüchtigen elektrischen oder elektronischen Schaltkontakten sichergestellt, dass ein geschlossener Schaltzustand des je weiligen Ausgangskanals nur dann dargestellt wird, wenn alle in Reihe geschalteten elektrischen oder elektronischen

Schaltkontakte, insbesondere beide von zwei elektrischen oder elektronischen Schaltkontakten geschlossen sind. Insoweit wird der Schaltzustand jedes Ausgangskanals durch jeweils je den einzelnen elektrischen oder elektronischen Schaltkontakt mitbestimmt .

Der jeweilige Schaltzustand jeden einzelnen elektrischen oder elektronischen Schaltkontakts wird durch ein jeweiliges Si cherheitssignal der Sicherheitssteuereinheit vorgegeben. Je- der einzelne elektrische oder elektronische Schaltkontakt kann durch ein eigenes Sicherheitssignal, insbesondere ein von den jeweils anderen Sicherheitssignalen unabhängiges Si cherheitssignal angesteuert sein. Jeder Schaltkontakt

und/oder jeder wenigstens eine Halbleiterschaltkontakt kann auch als Schalter bzw. Halbleiterschalter bezeichnet werden.

Wenigstens einer von wenigstens zwei Schaltkontakten der Aus gangsschnittstelle ist als ein elektronischer Schaltkontakt in Bauart eines Halbleiterschaltkontaktes ausgebildet. Dieser wenigstens eine Halbleiterschaltkontakt ist in seiner Funkti onsfähigkeit überwacht und zwar durch eine Spannungsquelle, die an eine erste Leitung des ersten Ausgangskanals ange schlossen ist, und durch einen Koppler, der an eine zweite Leitung des ersten Ausgangskanals angeschlossen ist und der ausgebildet ist, die von der Spannungsquelle an der ersten Leitung des ersten Ausgangskanals angelegte Spannung von der zweiten Leitung des ersten Ausgangskanals abzugreifen, wenn der Halbleiterschaltkontakt in seinem Schließzustand ist und der ausgebildet ist, in Abhängigkeit der an der zweiten Lei tung des ersten Ausgangskanals abgegriffenen Spannung, ein den Schaltzustand des Halbleiterschaltkontaktes kennzeichnen des erstes Diagnosesignal zu erzeugen. Das Diagnosesignal kennzeichnet den tatsächlichen momentanen Schaltzustand des Halbleiterschaltkontaktes unabhängig des Zustands seiner An steuerung, welche in einem funktionstüchtigen Zustand des Halbleiterschaltkontaktes dessen Schaltzustand vorgibt. Über mittelt das Diagnosesignal einen abweichenden Schaltzustand für den Halbleiterschaltkontakt , als es der angesteuerte Zu stand für den Halbleiterschaltkontakt vorsieht, so wird auf einen Fehler im Halbleiterschaltkontakt geschlossen.

Die Ausgangsschnittstelle kann demgemäß einen den Schaltzu stand des mindestens einen Ausgangskanals mitbestimmenden ersten Halbleiterschaltkontakt aufweisen, der durch das Si- cherheitssignal der Sicherheitssteuereinheit angesteuert ist und der einerseits an die erste Leitung des mindestens einen Ausgangskanals angeschlossen ist, die zu dem ersten Anschluss des mindestens einen Ausgangskanals führt, und andererseits an die zweite Leitung des mindestens einen Ausgangskanals an geschlossen ist, die zu dem zweiten Anschluss des mindestens einen Ausgangskanals führt,

- eine Spannungsquelle aufweisen, die an die erste Leitung des mindestens einen Ausgangskanals angeschlossen ist, und

- einen ersten Koppler aufweisen, der an die zweite Leitung des mindestens einen Ausgangskanals angeschlossen ist und der ausgebildet ist, die von der Spannungsquelle an der ersten Leitung des mindestens einen Ausgangskanals angelegte Span nung von der zweiten Leitung des mindestens einen Ausgangska nals abzugreifen, wenn der erste Halbleiterschaltkontakt in seinem Schließzustand ist und der ausgebildet ist, in Abhän gigkeit der an der zweiten Leitung des mindestens einen Aus gangskanals abgegriffenen Spannung, ein den Schaltzustand des ersten Halbleiterschaltkontaktes kennzeichnendes erstes Diag nosesignal zu erzeugen, wobei die Ausgangsschnittstelle au ßerdem ein den Schaltzustand des mindestens einen Ausgangska nals mitbestimmendes, zu dem ersten Halbleiterschaltkontakt in Reihe geschaltetes mechanisches Relais aufweist, das durch das Sicherheitssignal der Sicherheitssteuereinheit angesteu ert ist und das einerseits an die erste Leitung des mindes tens einen Ausgangskanals angeschlossen ist, die zu dem zwei ten Anschluss des mindestens einen Ausgangskanals führt, und andererseits an eine dritte Leitung des mindestens einen Aus gangskanals angeschlossen ist, die zu dem ersten Anschluss des mindestens einen Ausgangskanals führt, und

- einen zweiten Koppler aufweist, der an die dritte Leitung des mindestens einen Ausgangskanals angeschlossen ist und der ausgebildet ist, die von der Spannungsquelle an der ersten Leitung des mindestens einen Ausgangskanals angelegte Span nung von der dritten Leitung des mindestens einen Ausgangska- nals abzugreifen, wenn das mechanische Relais in seinem

Schließzustand ist und der ausgebildet ist, in Abhängigkeit der an der dritten Leitung des mindestens einen Ausgangska nals abgegriffenen Spannung, ein den Schaltzustand des mecha nischen Relais kennzeichnendes zweites Diagnosesignal zu er zeugen .

Der erste Ausgangskanal kann ein zu dem Halbleiterschaltkon- takt in Reihe geschaltetes mechanisches Relais aufweisen, wo bei ein Lastschalter des Relais einen ersten Lastschaltkon takt aufweist, der an die erste Leitung des ersten Ausgangs kanals angeschlossen ist, die zu dem Halbleiterschaltkontakt des ersten Ausgangskanals führt, einen zweiten Lastschaltkon takt aufweist, der an eine dritte Leitung des ersten Aus gangskanals angeschlossen ist, die zu dem ersten Anschluss des ersten Ausgangskanals führt und wobei ein Überwachungs schalter des Relais an die Sicherheitseinheit angeschlossen ist, zum Übermitteln eines den Schaltzustand des Relais kenn zeichnenden zweiten Diagnosesignals an die Sicherheitsein heit .

Indem der erste Ausgangskanal ein zu dem Halbleiterschaltkon- takt in Reihe geschaltetes mechanisches Relais aufweist, wird ein sowohl redundanter, als auch diversitärer Aufbau des in sicherer Technik ausgebildeten ersten Ausgangskanals geschaf fen. In einer solchen Ausführungsform kann vorgesehen sein, dass die Spannungsquelle und der Koppler ausschließlich für den Halbleiterschaltkontakt genutzt wird und an dem mechani schen Relais ein Kontakt eines Überwachungskreises zur Be reitstellung eines zugehörigen Diagnosesignals genutzt wird. Alternativ kann vorgesehen sein, dass für eine Bereitstellung eines Diagnosesignals des Halbleiterschaltkontakts die Span nungsquelle und ein erster Koppler genutzt wird und für eine Bereitstellung eines Diagnosesignals des mechanischen Relais auch diese Spannungsquelle und ein zweiter Koppler, d.h. ein vom ersten Koppler verschiedener Koppler genutzt wird. In ei ner solchen alternativen Ausführungsform kann das mechanische Relais demgemäß elektronisch überwacht werden, ohne bei spielsweise einen mechanisch zwangsgeführten Kontakt eines Überwachungskreises des Relais nutzen zu müssen. Der Kontakt des Relais kann aber auch zur Bildung einer redundanten und diversitären Überwachung ergänzend zu einer elektronischen Überwachung mittels Spannungsquelle und zweitem Koppler als ein ergänzendes Überwachungsmittel verwendet werden.

Alternativ zu einem Relais in demselben Ausgangskanal oder in einem anderen, insbesondere zweiten Ausgangskanal kann die Ausgangsschnittstelle

- einen den Schaltzustand des mindestens einen Ausgangskanals mitbestimmenden ersten Halbleiterschaltkontakt aufweisen, der durch das Sicherheitssignal der Sicherheitssteuereinheit an gesteuert ist und der einerseits an die erste Leitung des mindestens einen Ausgangskanals angeschlossen ist, die zu dem ersten Anschluss des mindestens einen Ausgangskanals führt, und andererseits an die zweite Leitung des mindestens einen Ausgangskanals angeschlossen ist, die zu dem zweiten An schluss des mindestens einen Ausgangskanals führt,

- eine Spannungsquelle aufweisen, die an die erste Leitung des mindestens einen Ausgangskanals angeschlossen ist, und

- einen ersten Koppler aufweisen, der an die zweite Leitung des mindestens einen Ausgangskanals angeschlossen ist und der ausgebildet ist, die von der Spannungsquelle an der ersten Leitung des mindestens einen Ausgangskanals angelegte Span nung von der zweiten Leitung des mindestens einen Ausgangska nals abzugreifen, wenn der erste Halbleiterschaltkontakt in seinem Schließzustand ist und der ausgebildet ist, in Abhän gigkeit der an der zweiten Leitung des mindestens einen Aus gangskanals abgegriffenen Spannung, ein den Schaltzustand des ersten Halbleiterschaltkontaktes kennzeichnendes erstes Diag nosesignal zu erzeugen, wobei die Ausgangsschnittstelle au- ßerdem einen den Schaltzustand des mindestens einen Ausgangs kanals mitbestimmenden zweiten Halbleiterschaltkontakt auf weist, der mit dem ersten Halbleiterschaltkontakt in Reihe geschaltet ist und der durch ein zweites Sicherheitssignal der Sicherheitseinheit angesteuert ist und der einerseits an die erste Leitung des mindestens einen Ausgangskanals ange schlossen ist, die zu dem ersten Halbleiterschaltkontakt führt, und andererseits an eine dritte Leitung des mindestens einen Ausgangskanals angeschlossen ist, die zu dem ersten An schluss des mindestens einen Ausgangskanals führt, und

- einen zweiten Koppler aufweist, der an die dritte Leitung des mindestens einen Ausgangskanals angeschlossen ist und der ausgebildet ist, die von der Spannungsquelle an der ersten Leitung des mindestens einen Ausgangskanals angelegte Span nung von der dritten Leitung des mindestens einen Ausgangska nals abzugreifen, wenn der zweite Halbleiterschaltkontakt in seinem Schließzustand ist und der ausgebildet ist, in Abhän gigkeit der an der dritten Leitung des mindestens einen Aus gangskanals abgegriffenen Spannung, ein den Schaltzustand des zweiten Halbleiterschaltkontaktes kennzeichnendes zweites Di agnosesignal zu erzeugen.

Die Ausgangsschnittstelle kann demgemäß einen den Schaltzu stand des ersten Ausgangskanals mitbestimmenden zweiten Halb leiterschaltkontakt aufweisen, der mit dem ersten Halbleiter schaltkontakt in Reihe geschaltet ist und der durch ein zwei tes Sicherheitssignal der Sicherheitssteuereinheit angesteu ert ist und der einerseits an die erste Leitung des ersten Ausgangskanals angeschlossen ist, die zu einem ersten Halb leiterschaltkontakt führt, und andererseits an eine dritte Leitung des ersten Ausgangskanals angeschlossen ist, die zu dem ersten Anschluss des ersten Ausgangskanals führt, wobei die Ausgangsschnittstelle einen zweiten Koppler aufweist, der an die dritte Leitung des ersten Ausgangskanals angeschlossen ist und der ausgebildet ist, die von der Spannungsquelle an der ersten Leitung des ersten Ausgangskanals angelegte Span nung von der dritten Leitung des ersten Ausgangskanals abzu greifen, wenn der zweite Halbleiterschaltkontakt in seinem Schließzustand ist und der ausgebildet ist, in Abhängigkeit der an der dritten Leitung des ersten Ausgangskanals abge griffenen Spannung, ein den Schaltzustand des zweiten Halb leiterschaltkontaktes kennzeichnendes zweites Diagnosesignal zu erzeugen.

In einer solchen Ausführungsform kann vorgesehen sein, dass die erste Spannungsquelle und ein erster Koppler ausschließ lich für den ersten Halbleiterschaltkontakt genutzt wird und die erste Spannungsquelle und ein zweiter Koppler ausschließ lich für den zweiten Halbleiterschaltkontakt genutzt wird.

Die Ausgangsschnittstelle kann alternativ oder ergänzend

- einen den Schaltzustand des zweiten Ausgangskanals mitbe stimmenden dritten Halbleiterschaltkontakt aufweisen, der durch ein drittes Sicherheitssignal der Sicherheitssteuerein heit angesteuert ist und der einerseits an eine erste Leitung des zweiten Ausgangskanals angeschlossen ist, die zu einem ersten Anschluss des zweiten Ausgangskanals führt, und ande rerseits an eine zweite Leitung des zweiten Ausgangskanals angeschlossen ist, die zu einem zweiten Anschluss des zweiten Ausgangskanals führt, wobei die Ausgangsschnittstelle

- eine zweite Spannungsquelle aufweist, die an die erste Lei tung des zweiten Ausgangskanals angeschlossen ist, und

- einen dritten Koppler aufweist, der an die zweite Leitung des zweiten Ausgangskanals angeschlossen ist und der ausge bildet ist, die von der zweiten Spannungsquelle an der ersten Leitung des zweiten Ausgangskanals angelegte Spannung von der zweiten Leitung des zweiten Ausgangskanals abzugreifen, wenn der dritte Halbleiterschaltkontakt in seinem Schließzustand ist und der ausgebildet ist, in Abhängigkeit der an der zwei ten Leitung des zweiten Ausgangskanals abgegriffenen Span- nung, ein den Schaltzustand des dritten Halbleiterschaltkon- taktes kennzeichnendes drittes Diagnosesignal zu erzeugen.

Der zweite Ausgangskanal kann analog dem ersten Ausgangskanal ausgebildet sein. Verschiedene der beschriebenen Varianten des ersten Ausgangskanals können wahlweise mit verschiedenen Varianten für den zweiten Ausgangskanal variiert und demgemäß kombiniert sein. Entsprechende Varianten ergeben sich aus den Patentansprüchen, auf die zum Zwecke der Offenbarung in der vorliegenden Beschreibung hier in Bezug genommen werden. Der zweite Ausgangskanal kann demgemäß beispielsweise ein zu dem dritten Halbleiterschaltkontakt in Reihe geschaltetes mecha nisches Relais aufweisen, wobei ein Lastschalter des Relais einen ersten Lastschaltkontakt aufweist, der an die erste Leitung des zweiten Ausgangskanals angeschlossen ist, die zu dem dritten Halbleiterschaltkontakt des zweiten Ausgangska nals führt, einen zweiten Lastschaltkontakt aufweist, der an eine dritte Leitung des zweiten Ausgangskanals angeschlossen ist, die zu dem ersten Anschluss des zweiten Ausgangskanals führt und wobei ein Überwachungsschalter des Relais ange schlossen ist, zum Erzeugen eines den Schaltzustand des Re lais kennzeichnenden viertes Diagnosesignals.

Indem der zweite Kanal ein zu dem dritten Halbleiterschalt- kontakt in Reihe geschaltetes mechanisches Relais aufweist, wird ein sowohl redundanter, als auch diversitärer Aufbau des in sicherer Technik ausgebildeten zweiten Ausgangskanals ge schaffen. In einer solchen Ausführungsform kann vorgesehen sein, dass die zweite Spannungsquelle und der dritte Koppler ausschließlich für den dritten Halbleiterschaltkontakt ge nutzt wird und an dem mechanischen Relais Kontakt eines Über wachungskreises zur Bereitstellung eines zugehörigen Diagno sesignals genutzt wird. Alternativ kann vorgesehen sein, dass für eine Bereitstellung eines Diagnosesignals des dritten Halbleiterschaltkontakts die zweite Spannungsquelle und ein dritter Koppler genutzt wird und für eine Bereitstellung ei nes Diagnosesignals des mechanischen Relais auch diese zweite Spannungsquelle und ein vierter Koppler, d.h. ein vom dritten Koppler verschiedener Koppler genutzt wird. In einer solchen alternativen Ausführungsform kann das mechanische Relais dem gemäß elektronisch überwacht werden, ohne beispielsweise ei nen mechanisch zwangsgeführten Kontakt eines Überwachungs kreises des Relais nutzen zu müssen. Der Kontakt des Relais kann aber auch zur Bildung einer redundanten und diversitären Überwachung ergänzend zu einer elektronischen Überwachung mittels zweiter Spannungsquelle und viertem Koppler als ein ergänzendes Überwachungsmittel verwendet werden.

Die Ausgangsschnittstelle kann demgemäß einen den Schaltzu stand des zweiten Kanals mitbestimmenden vierten Halbleiter schaltkontakt aufweisen, der mit dem dritten Halbleiter schaltkontakt in Reihe geschaltet ist und der durch ein vier tes Sicherheitssignal der Sicherheitssteuereinheit angesteu ert ist und der einerseits an die erste Leitung des zweiten Ausgangskanals angeschlossen ist, die zu dem dritten Halb leiterschaltkontakt führt, und andererseits an eine dritte Leitung des zweiten Ausgangskanals angeschlossen ist, die zu dem ersten Anschluss des zweiten Ausgangskanals führt, wobei die Ausgangsschnittstelle

- einen vierten Koppler aufweist, der an die dritte Leitung des zweiten Ausgangskanals angeschlossen ist und der ausge bildet ist, die von der zweiten Spannungsquelle an der ersten Leitung des zweiten Ausgangskanals angelegte Spannung von der dritten Leitung des zweiten Ausgangskanals abzugreifen, wenn der vierte Halbleiterschaltkontakt in seinem Schließzustand ist und der ausgebildet ist, in Abhängigkeit der an der drit ten Leitung des zweiten Ausgangskanals abgegriffenen Span nung, ein den Schaltzustand des vierten Halbleiterschaltkon- taktes kennzeichnendes viertes Diagnosesignal zu erzeugen. In einer solchen Ausführungsform kann vorgesehen sein, dass die zweite Spannungsquelle und ein dritter Koppler aus schließlich für den dritten Halbleiterschaltkontakt genutzt wird und die zweite Spannungsquelle und ein vierter Koppler ausschließlich für den vierten Halbleiterschaltkontakt ge nutzt wird.

Die Sicherheitssteuereinheit kann in allen Ausführungsvarian ten ausgebildet sein, das Diagnosesignal, insbesondere das erste Diagnosesignal, das zweite Diagnosesignal, das dritte Diagnosesignal und/oder das vierte Diagnosesignal innerhalb der Sicherheitssteuereinheit auszuwerten und in Abhängigkeit eines Auswertungsergebnisses ein die Funktionsfähigkeit des jeweiligen Halbleiterschaltkontaktes und/oder des jeweiligen Relais kennzeichnendes Sicherheitssignal zu erzeugen.

Alternativ oder ergänzend kann die Sicherheitssteuereinheit ausgebildet sein, das Diagnosesignal, insbesondere das erste Diagnosesignal, das zweite Diagnosesignal, das dritte Diagno sesignal und/oder das vierte Diagnosesignal zu einer weiteren Verarbeitung aus der Sicherheitssteuereinheit herauszuleiten und einer von der Sicherheitssteuereinheit getrennten exter nen Auswertung zuzuführen.

Wenigstens einer der Koppler aus der Gruppe von erstem Kopp ler, zweitem Koppler, drittem Koppler und viertem Koppler kann als ein Opto-Koppler ausgebildet sein. Der jeweilige Opto-Koppler ist ausgebildet, ein Signal zu übertragen zwi schen zwei galvanisch getrennten Stromkreisen, wobei der Opto-Koppler wenigstens einen Lichtsender, wie beispielsweise eine Leuchtdiode oder eine Laserdiode aufweisen kann, und we nigstens einen Lichtempfänger, wie beispielsweise eine Foto diode oder einen Fototransistor aufweisen kann. Wenigstens einer der Koppler aus der Gruppe von erstem Kopp ler, zweitem Koppler, drittem Koppler und viertem Koppler kann als ein induktiver Koppler ausgebildet sein. Der jewei lige induktive Koppler kann beispielsweise ein Transformator sein .

Wenigstens einer der Koppler aus der Gruppe von erstem Kopp ler, zweitem Koppler, drittem Koppler und viertem Koppler kann als ein Magnet-Koppler ausgebildet sein. Der jeweilige Magnet-Koppler kann beispielsweise eine Spule und einen Reed- Schalter aufweisen.

Wenigstens einer der Koppler aus der Gruppe von erstem Kopp ler, zweitem Koppler, drittem Koppler und viertem Koppler kann als ein kapazitiver Koppler ausgebildet sein.

Die Spannungsquelle, insbesondere die erste Spannungsquelle und/oder der zweite Spannungsquelle, kann eine galvanisch von einem Hochspannungskreis von Umrichtern der Antriebe des Ro boters getrennte Spannungsquelle sein.

Die Spannungsquelle, insbesondere die erste Spannungsquelle und/oder die zweite Spannungsquelle, kann als eine vom ersten Kanal der Ausgangsschnittstelle und vom zweiten Kanal der Ausgangsschnittstelle isolierte Spannungsversorgung, insbe sondere als DC/DC-Wandler ausgebildet sein.

Die Spannungsquelle, insbesondere die erste Spannungsquelle und/oder die zweite Spannungsquelle, kann jeweils ein iso lierter DC/DC-Wandler sein, der beispielsweise integriert von verschiedenen Herstellern verfügbar ist. Die Spannungsquelle, insbesondere die erste Spannungsquelle und/oder die zweite Spannungsquelle, können aber auch jeweils diskret aufgebaut sein. Somit kann eine von allen anderen Spannungen unabhängi ge (potentialfreie) Spannung erzeugt werden, die zwischen den beiden Halbleiterschaltkontakten oder zwischen einem Halb leiterschaltkontakt und einem mechanischen Relais eingespeist wird .

Wenigstens einer der Halbleiterschaltkontakte aus der Gruppe von erstem Halbleiterschaltkontakt , zweitem Halbleiterschalt- kontakt, drittem Halbleiterschaltkontakt und viertem Halb leiterschaltkontakt kann als wenigstens ein Feldeffekttran sistor (FET) oder Bipolartransistor (BJT) ausgebildet sein.

Es können beispielsweise Halbleiterschaltkontakte mit antise riell geschaltenen FETs als Lastkontakt verwendet werden. Die Halbleiterschaltkontakte können über einen Vorwiderstand di rekt beispielsweise von einem Mikrocontrollerpin einer als Mikrocontroller ausgebildeten Sicherheitseinheit angesteuert werden. Die SchaltStruktur kann demgemäß von einer Sicher heitsgerichteten Mikrocontrollerstruktur angesteuert werden. Über Rücklesepins (15.1 und 15.2 in Fig. 2) kann der Schalt zustand der Halbleiterschaltkontakte festgestellt werden. Um einen "schlafenden Fehler" (FET wurde bspw. beim Einschalten zerstört und ist dauerhaft leitend, d.h. "durchlegiert") zu erkennen, sollten die Halbleiterschaltkontakte zyklisch kurz abgeschaltet und der Zustandswechsel an den Rücklesepins überprüft werden. Sobald an den Rücklesepins geprüft wurde, ob der Aus-Zustand erreicht wurde, können die Halbleiter schaltkontakte wieder eingeschaltet werden. Somit entstehen Testpulse, die in regelmäßigen Abständen wiederholt werden sollten .

Mit der Erfindung wird eine Lösung für potentialfreie sichere Ausgänge mit Halbleiterrelais aufgezeigt. Bei dieser Lösung können bei der Prüfung der Halbleiterrelais unter Umständen unerwünschte Testimpulse auf einem solchen Nutzpfad entste hen. Um diese Testimpulse kurz zu halten, sollten deshalb sehr schnell schaltende Halbleiterrelais zur Anwendung kom- men, was jedoch den Nachteil hat, dass teure Halbleiterrelais eingesetzt werden müssen. Als Nutzpfad wird insbesondere ein Ausgangskanal der Steuervorrichtung oder der Steuereinheit verstanden, der zum elektrischen und/oder elektronischen Schalten und/oder Ansteuern eines von der Steuervorrichtung oder der Steuereinheit externen Gerätes, insbesondere in si cherer Technik ausgebildet ist.

Aufbauend wird deshalb im Folgenden eine Lösung vorgeschla gen, bei welcher keine Testimpulse auf dem Nutzpfad auftre- ten, damit angeschlossene Aktoren bzw. Sensoren nicht beein flusst werden. Um eine kostengünstige Lösung zu erreichen, soll es möglich sein, langsam schaltende Standard- Halbleiterrelais einzusetzen.

Um die Testimpulse im Nutzpfad zu vermeiden, kann demgemäß in beiden Kanälen ein zweiter Nutzpfad zum ersten Nutzpfad pa rallel geschaltet werden. Werden im ersten Nutzpfad die Halb leiterrelais getestet, so werden nur diese geöffnet, wodurch das Nutzsignal durch den zweiten Nutzpfad geleitet wird. So mit entstehen auf der Anschlussseite keine Testimpulse, wes halb angeschlossene Aktoren bzw. Sensoren nicht gestört wer den .

Für einen sicheren Ausgang ergeben sich, ohne dein Zusammen fassen von Signalen, dann beispielsweise acht digitale An steuersignale und acht digitale Feedbacksignale.

Um Signalleitungen einzusparen, können die einzelnen digita len Feedbacksignale von ersten Nutzpfad mit den dazugehörigen Feedbacksignalen des zweiten Nutzpfads zusammengefasst wer den. Eine weitere Möglichkeit, die Anzahl der Signalleitungen zu verringern, bietet die parallele Ausführung von Tests. So kann der erste Nutzpfad komplett unabhängig von dem zweiten Nutzpfad getestet werden. Dies ermöglicht eine Reduzierung der Ansteuerleitungen .

Damit kann in einer weiterführenden Ausgestaltung in der Si cherheitssteuereinheit vorgesehen sein, dass der mindestens eine Ausgangskanal innerhalb der Sicherheitssteuereinheit doppelt ausgeführt ist und dadurch zwei Nutzpfade für densel ben Ausgangskanal gebildet werden, derart, dass eine erste Leitung zusammen mit einer zweiten Leitung und einer dritten Leitung eines ersten Nutzpfades parallel zu einer ersten Lei tung, einer zweiten Leitung und einer dritten Leitung eines zweiten Nutzpfades geschaltet ist, und die Sicherheitssteuer einheit eingerichtet ist, auf dem einen Nutzpfad den potenti alfreien geschlossenen oder offenen Schaltzustand für das zu schaltende externe elektrische Gerät bereitzustellen und auf dem anderen Nutzpfad den Zustand der wenigstens einen Kompo nente diesen Nutzpfades auf seine Funktionsfähigkeit zu über prüfen und ein diese Funktionsfähigkeit kennzeichnendes Si cherheitssignal zu erzeugen.

Die Sicherheitssteuereinheit kann dabei in einer ersten Vari ante ausgebildet sein, den potentialfreien geschlossenen oder offenen Schaltzustand für das zu schaltende externe elektri sche Gerät auf den jeweils anderen Nutzpfad umzuschalten und danach auf dem jeweils frei gewordenen Nutzpfad den Zustand der wenigstens einen Komponente diesen frei gewordenen Nutz pfades auf seine Funktionsfähigkeit zu überprüfen und ein diese Funktionsfähigkeit kennzeichnendes Sicherheitssignal zu erzeugen .

Die Sicherheitssteuereinheit kann dabei in einer zweiten Va riante ausgebildet sein, derart dass, die Ausgangsschnitt stelle einen ersten Ausgangskanal und einen zweiten Ausgangs kanal aufweist, wobei in dem ersten Ausgangskanal eine erste Leitung zusammen mit einer zweiten Leitung und einer dritten Leitung einen ersten Nutzpfad bildet, in dem zweiten Aus gangskanal eine erste Leitung zusammen mit einer zweiten Lei tung und einer dritten Leitung eines zweiten Nutzpfad bildet, und die Ausgangsschnittstelle einen dritten Nutzpfad auf weist, der wahlweise im Wechsel entweder für den ersten Aus gangskanal oder den zweiten Ausgangskanal parallel zu diesem geschaltet ist, um den Zustand der wenigstens einen Komponen te des gewählten ersten oder zweiten Nutzpfades des ersten Ausgangskanals oder des zweiten Ausgangskanals auf seine Funktionsfähigkeit zu überprüfen und ein diese Funktionsfä higkeit kennzeichnendes Sicherheitssignal zu erzeugen.

Ergänzend kann die Sicherheitssteuereinheit ausgebildet sein, derart, dass mehrere Sicherheitssignale mehrerer Ausgangska näle auf eine gemeinsame Signalleitung aufgeschaltet und aus der Sicherheitssteuereinheit über einen gemeinsamen Anschluss herausgeführt sind.

Konkrete Ausführungsbeispiele der Erfindung sind in der nach folgenden Figurenbeschreibung unter Bezugnahme auf die beige fügten Figuren näher erläutert. Konkrete Merkmale dieser exemplarischen Ausführungsbeispiele können unabhängig davon, in welchem konkreten Zusammenhang sie erwähnt sind, gegebe nenfalls auch einzeln oder auch in anderen Kombinationen der Merkmale betrachtet, allgemeine Merkmale der Erfindung dar stellen .

Die Figuren zeigen:

Fig . 1 eine schematische Darstellung einer beispielhaften

Roboter-Sicherheitssteuerung mit einer erfindungsge mäßen Ausgangsschnittstelle, Fig. 2 eine Schaltung einer beispielhaften Ausgangsschnitt stelle mit vier Halbleiterschaltkontakten,

Fig. 3 eine alternative zweikanalige Schaltung einer bei spielhaften Ausgangsschnittstelle mit zwei Halb leiterschaltkontakten und zwei Relais,

Fig. 4 eine reduzierte Schaltung einer beispielhaften Aus gangsschnittstelle mit lediglich einem Kanal, der wahlweise Halbleiterschaltkontakte und/oder Relais aufweisen kann, und

Fig. 5 eine schematische Darstellung einer zweikanaligen

Sicherheitssteuereinheit mit jeweils doppelt ausge führten Nutzpfaden.

In der Fig. 1 ist eine Roboter-Steuerung 1 schematisch darge stellt. Die Roboter-Steuerung 1 weist wenigstens zwei vonei nander unabhängige Steuerungseinheiten 2.1, 2.2. auf, die zum parallelen Ausführen eines gemeinsamen Roboterprogramms 3 ausgebildet sind. Die Roboter-Steuerung 1 weist außerdem eine Sicherheitssteuereinheit 4 auf, die ausgebildet ist, den Zu stand wenigstens einer Komponente der Roboter-Steuerung 2 und/oder wenigstens einer Komponente des Roboters 5 auf seine Funktionsfähigkeit zu überprüfen und ein diese Funktionsfä higkeit kennzeichnendes Sicherheitssignal zu erzeugen. Die Sicherheitssteuereinheit 4 weist eine Ausgangsschnittstelle 6 auf, die einen mindestens zweikanaligen digitalen Ausgang 7.1, 7.2 aufweist.

In der Fig. 2 ist eine Ausführungsform einer erfindungsgemä ßen Ausgangsschnittstelle 6 in Form einer Schaltung darge stellt, die einen mindestens zweikanaligen digitalen Ausgang 7.1 und 7.2 aufweist, wobei jeder Ausgangskanal A, B zwei zum Schalten eines externen elektrischen Geräts (nicht darge stellt) ausgebildete elektrische Anschlüsse 8.1, 8.2, 9.1,

9.2 aufweist, die in Abhängigkeit des Sicherheitssignals ent weder einen potentialfreien geschlossenen Schaltzustand oder einen potentialfreien offenen Schaltzustand aufweisen. We nigstens ein Sicherheitssignal kann dabei im Falle des vor liegenden Ausführungsbeispiels über die Mikrocontrollerpins 10.1, 10.2, 10.3, 10.4 zugeführt werden.

Die Ausgangsschnittstelle 6 weist einen den Schaltzustand des ersten Kanals A mitbestimmenden ersten Halbleiterschaltkon- takt 11.1 auf, der durch das Sicherheitssignal der Sicher heitseinheit 4 angesteuert ist und der einerseits an eine erste Leitung 12.1 des ersten Ausgangskanals A angeschlossen ist, die zu dem ersten Anschluss 8.1 des ersten Ausgangska nals A führt, und andererseits an eine zweite Leitung 12.2 des ersten Ausgangskanals A angeschlossen ist, die zu einem zweiten Anschluss 8.2 des ersten Ausgangskanals führt.

Die Ausgangsschnittstelle 6 weist außerdem eine Spannungs quelle 13.1 auf, die an die erste Leitung 12.1 des ersten Ausgangskanals A angeschlossen ist.

Darüber hinaus weist die Ausgangsschnittstelle 6 einen ersten Koppler 14.1 auf, der an die zweite Leitung 12.2 des ersten Ausgangskanals A angeschlossen ist und der ausgebildet ist, die von der Spannungsquelle 13.1 an der ersten Leitung 12.1 des ersten Ausgangskanals A angelegte Spannung von der zwei ten Leitung 12.2 des ersten Ausgangskanals A abzugreifen, wenn der erste Halbleiterschaltkontakt 11.1 in seinem

Schließzustand ist.

Der erste Koppler 14.1 ist außerdem ausgebildet, in Abhängig keit der an der zweiten Leitung 12.2 des ersten Ausgangska nals A abgegriffenen Spannung, ein den Schaltzustand des ers- ten Halbleiterschaltkontaktes 11.1 kennzeichnendes erstes Di agnosesignal zu erzeugen. Das erste Diagnosesignal kann dabei im Falle des vorliegenden Ausführungsbeispiels über den Mik rocontrollerpin 15.1 abgegriffen werden.

Im Falle des vorliegenden Ausführungsbeispiels weist die Aus gangsschnittstelle 6 einen den Schaltzustand des ersten Aus gangskanals A mitbestimmenden zweiten Halbleiterschaltkontakt 11.2 auf, der mit dem ersten Halbleiterschaltkontakt 11.1 in Reihe geschaltet ist und der durch ein zweites Sicherheits signal der Sicherheitssteuereinheit 4 angesteuert ist und der einerseits an die erste Leitung 12.1 des ersten Ausgangska nals A angeschlossen ist, die zu einem ersten Halbleiter schaltkontakt 11.1 führt, und andererseits an eine dritte Leitung 12.3 des ersten Ausgangskanals A angeschlossen ist, die zu dem ersten Anschluss 8.1 des ersten Ausgangskanals A führt .

In diesem Fall weist die Ausgangsschnittstelle 6 außerdem ei nen zweiten Koppler 14.2 auf, der an die dritte Leitung 12.3 des ersten Ausgangskanals A angeschlossen ist und der ausge bildet ist, die von der Spannungsquelle 13.1 an der ersten Leitung 12.1 des ersten Ausgangskanals A angelegte Spannung von der dritten Leitung 12.3 des ersten Ausgangskanals A ab zugreifen, wenn der zweite Halbleiterschaltkontakt 11.2 in seinem Schließzustand ist.

Der zweite Koppler 14.2 ist außerdem ausgebildet, in Abhän gigkeit der an der dritten Leitung 12.3 des ersten Ausgangs kanals A abgegriffenen Spannung, ein den Schaltzustand des zweiten Halbleiterschaltkontaktes 11.2 kennzeichnendes zwei tes Diagnosesignal zu erzeugen. Das zweite Diagnosesignal kann dabei im Falle des vorliegenden Ausführungsbeispiels über den Mikrocontrollerpin 15.2 abgegriffen werden. In einer Variante gemäß Fig. 3 ist der zweite Halbleiter schaltkontakt 11.2 durch ein mechanisches Relais 11.2a und der vierte Halbleiterschaltkontakt 11.4 durch ein mechani sches Relais 11.4a ersetzt. In einem solchen Fall weist bei spielsweise der erste Ausgangskanal A ein zu dem ersten Halb leiterschaltkontakt 11.1 in Reihe geschaltetes mechanisches Relais 11.2a auf, wobei ein Lastschalter des Relais 11.2a ei nen ersten Lastschaltkontakt aufweist, der an die erste Lei tung 12.1 des ersten Ausgangskanals A angeschlossen ist, die zu dem ersten Halbleiterschaltkontakt 11.1 des ersten Aus gangskanals A führt, und einen zweiten Lastschaltkontakt auf weist, der an die dritte Leitung 12.3 des ersten Ausgangska nals A angeschlossen ist, die zu dem ersten Anschluss 8.1 des ersten Ausgangskanals A führt, wobei ein Überwachungsschalter des Relais 11.2a an die Sicherheitssteuereinheit 4 ange schlossen ist, zum Übermitteln eines den Schaltzustand des Relais 11.2 kennzeichnenden zweiten Diagnosesignals. Auch in diesem Fall würde das zweite Diagnosesignal über den Mikro controllerpin 15.2 an die Sicherheitseinheit 4 zurückgeführt werden. Der zweite Ausgangskanal B mit dem mechanischen Re lais 11.4a ist analog dem ersten Ausgangskanal A aufgebaut.

Im Falle des Ausführungsbeispiels gemäß Fig. 2 weist die Aus gangsschnittstelle 6 auch noch einen den Schaltzustand des zweiten Ausgangskanals B mitbestimmenden dritten Halbleiter schaltkontakt 11.3 auf, der durch ein drittes Sicherheitssig nal der Sicherheitssteuereinheit 4 angesteuert ist und der einerseits an eine erste Leitung 16.1 des zweiten Ausgangska nals B angeschlossen ist, die zu einem ersten Anschluss 9.1 des zweiten Ausgangskanals B führt, und andererseits an eine zweite Leitung 16.2 des zweiten Ausgangskanals B angeschlos sen ist, die zu einem zweiten Anschluss 9.2 des zweiten Aus gangskanals B führt. Die Ausgangsschnittstelle 6 weist dabei außerdem eine zweite Spannungsquelle 13.2 auf, die an die erste Leitung 16.1 des zweiten Ausgangskanals B angeschlossen ist.

Darüber hinaus weist die Ausgangsschnittstelle 6 einen drit ten Koppler 14.3 auf, der an die zweite Leitung 16.2 des zweiten Ausgangskanals B angeschlossen ist und der ausgebil det ist, die von der zweiten Spannungsquelle 13.2 an der ers ten Leitung 16.1 des zweiten Ausgangskanals B angelegte Span nung von der zweiten Leitung 16.2 des zweiten Ausgangskanals B abzugreifen, wenn der dritte Halbleiterschaltkontakt 11.3 in seinem Schließzustand ist.

Der dritte Koppler 14.3 ist außerdem ausgebildet, in Abhän gigkeit der an der zweiten Leitung 16.2 des zweiten Ausgangs kanals A abgegriffenen Spannung, ein den Schaltzustand des dritten Halbleiterschaltkontaktes 11.3 kennzeichnendes drit tes Diagnosesignal zu erzeugen. Das dritte Diagnosesignal kann dabei im Falle des vorliegenden Ausführungsbeispiels über den Mikrocontrollerpin 15.3 abgegriffen werden.

Im Falle des Ausführungsbeispiels gemäß Fig. 2 weist die Aus gangsschnittstelle 6 einen den Schaltzustand des zweiten Aus gangskanals B mitbestimmenden vierten Halbleiterschaltkontakt 11.4 auf, der mit dem dritten Halbleiterschaltkontakt 11.3 in Reihe geschaltet ist und der durch ein viertes Sicherheits signal der Sicherheitssteuereinheit 4 angesteuert ist und der einerseits an die erste Leitung 16.1 des zweiten Ausgangska nals B angeschlossen ist, die zu dem dritten Halbleiter schaltkontakt 11.3 führt, und andererseits an eine dritte Leitung 16.3 des zweiten Ausgangskanals B angeschlossen ist, die zu dem ersten Anschluss 9.1 des zweiten Ausgangskanals B führt . Darüber hinaus weist die Ausgangsschnittstelle 6 einen vier ten Koppler 14.4 auf, der an die dritte Leitung 16.3 des zweiten Ausgangskanals B angeschlossen ist und der ausgebil det ist, die von der zweiten Spannungsquelle 13.2 an der ers ten Leitung 16.1 des zweiten Ausgangskanals B angelegte Span nung von der dritten Leitung 16.3 des zweiten Ausgangskanals B abzugreifen, wenn der vierte Halbleiterschaltkontakt 11.4 in seinem Schließzustand ist.

Der vierte Koppler 14.4 ist außerdem ausgebildet, in Abhän gigkeit der an der dritten Leitung 16.3 des zweiten Ausgangs kanals B abgegriffenen Spannung, ein den Schaltzustand des vierten Halbleiterschaltkontaktes 11.4 kennzeichnendes vier tes Diagnosesignal zu erzeugen. Das vierte Diagnosesignal kann dabei im Falle des vorliegenden Ausführungsbeispiels über den Mikrocontrollerpin 15.4 abgegriffen werden.

In einer weiteren Variante ist, wie in Fig. 3 dargestellt, der vierte Halbleiterschaltkontakt 11.4 durch das mechani sches Relais 11.4a ersetzt. In einem solchen Fall weist der zweite Ausgangskanal B ein zu dem dritten Halbleiterschalt- kontakt 11.3 in Reihe geschaltetes mechanisches Relais 11.4a auf, wobei ein Lastschalter des Relais 11.4a einen ersten Lastschaltkontakt aufweist, der an die erste Leitung 16.1 des zweiten Ausgangskanals B angeschlossen ist, die zu dem drit ten Halbleiterschaltkontakt 11.3 des zweiten Ausgangskanals B führt, einen zweiten Lastschaltkontakt aufweist, der an die dritte Leitung 16.3 des zweiten Ausgangskanals B angeschlos sen ist, die zu dem ersten Anschluss 9.1 des zweiten Aus gangskanals B führt, wobei ein Überwachungsschalter des Re lais an die Sicherheitssteuereinheit 4 angeschlossen ist, zum Erzeugen eines den Schaltzustand des Relais kennzeichnenden viertes Diagnosesignals. Auch in diesem Fall wird das vierte Diagnosesignal über den Mikrocontrollerpin 15.4 abgegriffen werden . Im Falle des Ausführungsbeispiels gemäß Fig. 2 sind der erste Koppler 14.1, der zweite Koppler 14.2, der dritte Koppler

14.3 und der vierte Koppler 14.4 jeweils als ein Opto-Koppler ausgebildet .

Sowohl die erste Spannungsquelle 13.1 als auch die zweite Spannungsquelle 13.2 sind jeweils als eine galvanisch von ei nem Hochspannungskreis von Umrichtern der Antriebe des Robo ters 5 getrennte Spannungsquelle ausgebildet.

Außerdem sind sowohl die erste Spannungsquelle 13.1 als auch die zweite Spannungsquelle 13.2 als eine vom ersten Kanal A der Ausgangsschnittstelle 6 und vom zweiten Ausgangskanal B der Ausgangsschnittstelle 6 isolierte Spannungsversorgung, insbesondere als DC/DC-Wandler ausgebildet.

Im Falle des Ausführungsbeispiels der Fig. 2 sind sowohl der erste Halbleiterschaltkontakt 11.1, als auch der zweite Halb leiterschaltkontakt 11.2, der dritte Halbleiterschaltkontakt

11.3 und der vierte Halbleiterschaltkontakt 11.4 jeweils als wenigstens ein Halbleiter-Feldeffekttransistor (FET) ausge bildet .

Die Fig. 4 zeigt schematisch eine einkanalige Variante der Sicherheitssteuereinheit 4 mit lediglich einem einzigen Aus gangskanal. Der einzelne Ausgangskanal gemäß Fig. 4 weist zwei zum Schalten eines von der Sicherheitssteuereinheit 4 externen elektrischen Geräts zwei elektrische Anschlüsse 8.1, 8.2 auf, wobei der einzelne, d.h. alleinige Ausgangskanal in Abhängigkeit eines Sicherheitssignals entweder einen potenti alfreien geschlossenen Schaltzustand oder einen potential freien offenen Schaltzustand aufweisen kann. Diese Ausgangs schnittstelle weist einen den Schaltzustand des alleinigen Ausgangskanals mitbestimmenden einzelnen Halbleiterschaltkon takt 11.1 aufweist, der durch das Sicherheitssignal der Si- cherheitssteuereinheit 4 angesteuert ist und der einerseits an eine erste Leitung 12.1 des einzelnen Ausgangskanals ange schlossen ist, die (mittelbar über den zweiten Halbleiter schaltkontakt 11.2 und die dritte Leitung 12.3) zu einem ers ten Anschluss 8.1 des einzelnen Ausgangskanals führt, und an dererseits an eine zweite Leitung 12.2 des einzelnen Aus gangskanals angeschlossen ist, die (direkt) zu einem zweiten Anschluss 8.2 des einzelnen Ausgangskanals führt. Die Aus gangsschnittstelle umfasst außerdem eine einzelne Spannungs quelle 13.1, die an die erste Leitung 12.1 des einzelnen Aus gangskanals angeschlossen ist, und einen ersten Koppler 14.1, der an die zweite Leitung 12.2 des einzelnen Ausgangskanals angeschlossen ist und der ausgebildet ist, die von der Span nungsquelle 13.1 an der ersten Leitung 12.1 des einzelnen Ausgangskanals angelegte Spannung von der zweiten Leitung 12.2 des einzelnen Ausgangskanals abzugreifen, wenn der Halb leiterschaltkontakt 11.1 in seinem Schließzustand ist und der ausgebildet ist, in Abhängigkeit der an der zweiten Leitung 12.2 des einzelnen Ausgangskanals mittels des Rücklesepins

15.1 abgegriffenen Spannung, ein den Schaltzustand des Halb leiterschaltkontaktes 11.1 kennzeichnendes Diagnosesignal zu erzeugen. Über einen zweiten Koppler 14.2, der an die dritte Leitung 12.3 des einzelnen Ausgangskanals angeschlossen ist, kann die von der Spannungsquelle 13.1 an der ersten Leitung

12.1 des einzelnen Ausgangskanals angelegte Spannung von der dritten Leitung 12.3 des einzelnen Ausgangskanals abgegriffen werden, wenn der zweite Halbleiterschaltkontakt 11.2 (oder alternativ ein mechanisches Relais 11.2a) in seinem Schließ zustand ist. In Abhängigkeit der an der dritten Leitung 12.3 des einzelnen Ausgangskanals mittels eines zweiten Rücklese pins 15.2 abgegriffenen Spannung, kann dann ein den Schaltzu- stand des zweiten Halbleiterschaltkontaktes 11.2 bzw. des al ternativen mechanischen Relais 11.2a kennzeichnendes Diagno sesignal erzeugt werden. Die Fig. 5 zeigt schematisch die Sicherheitssteuereinheit 4 mit einem ersten Ausgangskanal A und einem zweiten Ausgangs kanal B, wobei jeder Ausgangskanal A, B innerhalb der Sicher heitssteuereinheit 4 jeweils doppelt ausgeführt ist und dadurch jeweils zwei Nutzpfade 17.1, 17.2 für denselben Aus gangskanal A, B gebildet werden, derart, dass der jeweils erste Nutzpfades 17.1 parallel zu dem zweiten Nutzpfad 17.2 geschaltet ist, und die Sicherheitssteuereinheit 4 eingerich tet ist, auf dem einen Nutzpfad 17.1, 17.2 den potential- freien geschlossenen oder offenen Schaltzustand für das zu schaltende externe elektrische Gerät bereitzustellen und auf dem jeweils anderen Nutzpfad 17.1, 17.2 den Zustand der we nigstens einen Komponente diesen Nutzpfades 17.1, 17.2 auf seine Funktionsfähigkeit zu überprüfen und ein diese Funkti- onsfähigkeit kennzeichnendes Sicherheitssignal zu erzeugen.